Autor: daagroo

3. Intencje i motywacje

Cele archiwalne w interesie publicznym w rozporządzeniu ogólnym o ochronie danych

W praktyce funkcjonowania społeczeństw i państw wiadomości o ludziach używa się masowo na dwóch obszarach: do zastosowań komercyjnych, a także w sferze administracji publicznej. Dokonywana jest identyfikacja potencjalnych i rzeczywistych konsumentów oraz ich typizacja, a w kolejnym kroku kreowanie ich potrzeb. Rozgrywa się także zarządzanie obywatelami i społeczeństwami przy wsparciu zaawansowanych technologii informacyjnych. System ochrony danych nie poprzestaje wprawdzie na pilnowaniu tylko dwóch tych żywiołów: władzy oraz rynku.

W odległych początkach budowy europejskiego systemu ochrony danych osobowych wartością ustawicznie przywoływaną była ludzka prywatność[1]. Przyjmowano za pewnik, że to z troski o nią wyrosła myśl o strzeżeniu wiadomości, które opisują poszczególnych ludzi. Z czasem zaczęto ją wymieniać wraz z innymi, nienazwanymi swobodami, później zaś ta hierarchia uległa odwróceniu i pisano odtąd o „prawach i wolnościach, w tym prywatności”[2]. W rozporządzeniu kategoria prywatności wprost już się nie pojawia, choć obejmuje ją bez wątpienia uczynione tam odwołanie do praw podstawowych[3]. Akt ten ostatecznie uległ wyemancypowaniu ze sfery prywatności, koncentrując się na ochronie danych osobowych per se i na niebezpieczeństwach dla nich specyficznych.

Niespiesznie ujmowano w słowa sens kolejnych regulacji, obecny już w pierwszych projektach. Prywatność, będąca w centrum uwagi ludzi, konkurowała z innymi wartościami, ważnymi dla rządzących oraz dla biznesu. Powstrzymywała rozwój. Chronienie osobistej sfery człowieka przed ingerencjami trzeba więc było zrelatywizować w stosunku do potężnych interesów. Paradoksalnie, ta kolizja interesów najpierw została skojarzona z potrzebami wspólnego rynku, a promotorami standardu ochrony danych osobowych stały się instytucje za cel mające integrację europejską. Równolegle postępowały regulacje krajowe, tradycyjnie i nie bez racji podejrzewane przez wspólnotowe gremia o ryzykowną skłonność do reglamentowania wiedzy o ludziach. Europejskie państwa zgodziły się, że nie wolno zakazywać przepływu danych osobowych albo uzależniać go od zezwoleń tylko ze względu na ochronę prywatności[4]. Naruszenia informacyjnej autonomii jednostek musiały być w pewnej mierze dozwolone, by świat toczył się naprzód.

Motywem ochrony danych osobowych od jej początków nie było więc ograniczanie, lecz ułatwienie korzystania z nich. Bezpieczeństwo informacji, okiełznanie nadużyć i uśmierzenie społecznych niepokojów, lęku przed niewidzialną inwigilacją – wszystko to było nieodzowne, by spersonalizowane informacyjne zasoby pozostały szeroko dostępne – przede wszystkim dla biznesu oraz dla instytucji publicznej władzy. Należało wydzielić rozległy obszar legalnego i w miarę bezpiecznego przetwarzania danych osobowych, usuwając poza jego granice i obejmując zakazami te zachowania informacyjne, które szkodziły rządom, wspólnemu rynkowi i obywatelom[5]. Nie można było dopuścić, by natężone poczucie zagrożenia inspirowało krajowych prawodawców do mnożenia ograniczeń, które stałyby się rozwojową barierą. Konieczna była również porównywalność i wzajemna spójność ochronnych standardów w integrujących się państwach, bo lokalne radykalizmy albo zaniedbania podminowałyby cały system[6].

Symptomatyczna jest złożoność tytułów rozporządzenia oraz poprzedzającej je dyrektywy, obejmujących zarówno ochronę osób fizycznych w związku z przetwarzaniem danych osobowych, jak i zapewnienie swobodnego przepływu takich danych. Relację między obu wątkami ukształtowało zastrzeżenie w późniejszym z tych aktów, że prawo do ochrony danych nie ma charakteru bezwzględnego, a trzeba je postrzegać w kontekście jego społecznej funkcji – i dlatego wymagane jest jego proporcjonalne zbalansowanie z innymi prawami podstawowymi[7]. Rozporządzenie strzeże prawa do ochrony danych osobowych, a także prawa do korzystania z nich. Podtrzymuje zadawnioną dwoistość: chronić, by używać.

Nie byłoby jednak prawdziwe ukazywanie ochronnego systemu jako będącego w służbie władzy i pieniądza. Ma on również aksjologiczne źródła i wyraża rzeczywisty sprzeciw wobec informacyjnego zniewolenia ludzi. W kręgu fenomenów automatycznego przetwarzania społeczną grozę budzą „bezludne” procedury, w tym profilowanie, mogące skrycie rozstrzygać o losach osób, których dotyczą przetwarzane dane. Rozporządzenie zakazuje wyłącznie maszynowego podejmowania decyzji, które miałyby dla jednostek skutki prawne albo w podobny sposób by na nie wpływały. Dopuszcza też jednak wyjątki[8]. Człowiekowi zagraża więc, mimo ochrony danych, dyktat anonimowych algorytmów. Wiele mówiące jest, że dozwolono mu – dalece nie zawsze – ubiegać się o „uzyskanie interwencji ludzkiej”[9].

[1] «Resolution (73) 22 on the protection of the privacy of individuals vis-a-vis electronic data banks in the private sector (Adopted by the Committee of Ministers on 26 September 1973 at the 224th meeting of the Ministers’ Deputies); Council of Europe – Committee of Ministers», «Resolution (74) 29 on the protection of the privacy of individuals vis-a-vis electronic data banks in the public sector (Adopted by the Committee of Ministers on 20 September 1974 at the 236th meeting of the Ministers’ Deputies)».
[2] «Organisation for Economic Co-operation and Development (OECD) – Recommendation of the Council concerning guide-lines governing the protection of privacy and transborder flows of personal data (Adopted by the Council 23 September 1980)» – rekomendacja 1. (“the protection of privacy and individual liberties”); Konwencja 108/1981 – art. 1 („praw i podstawowych wolności (…), a w szczególności (…) prawa do prywatności”); art. 1 ust. 1 D.95/46/WE („podstawowe prawa i wolności osób fizycznych, w szczególności ich prawo do prywatności”).
[3] Ochronie życia prywatnego poświęcony jest art. 7 Karty Praw Podstawowych UE. Znamienne przy tym, że następujący po nim przepis dotyczy ochrony danych osobowych, ujmowanej jako dobro odrębne względem prywatności. To KPP zapoczątkowała ich normatywne rozdzielenie.
[4] Art. 1 ust. 3; mot. 13 R.2016/679.
[5] Por. Jagielski, Prawo do ochrony, s. 31. Autor eksponuje aspekt budowy społecznego zaufania do nowych technologii.
[6] Mot. 9-10 R.2016/679.
[7] Tamże, mot. 4.
[8] Tamże, art. 22, mot. 71.
[9] Tamże, art. 22 ust. 3.

Cele archiwalne w interesie publicznym w rozporządzeniu ogólnym o ochronie danych

2. Korzenie regulacji

Dla rozumienia rozporządzenia, zwłaszcza w kontekście sporów o materialny zakres jego stosowania, nieodzowne jest pamiętanie o jego prehistorii, w tym o ćwierćwieczu konstruowania prototypów systemu ochrony danych. Myślenie o prawnej reglamentacji obiegu wiadomości o ludziach wyrosło z upowszechnienia się poczucia obywatelskiej podmiotowości, a także indywidualizmu jako społecznej postawy, z przekonania o jedyności i odrębności człowieka względem wszystkich ludzi. Oczekiwania w pewnym momencie wyszły poza odwieczne dążenie, by zaradzić mocy złych języków. Nie tylko negatywne pogłoski i nieżyczliwe komunikaty, ale już wszelkie informacje o ludzkiej jednostce, zawłaszczane przez innych, mogły naruszać jej nowo odkrytą autonomię. Ich spontaniczny, niekontrolowany obieg zderzał się z pragnieniem samodzielnego kształtowania bycia postrzeganym przez innych, a także trzymania w skrytości pewnej głębokiej, osobistej wiedzy, udzielanej powściągliwie lub wcale, na mocy względnie suwerennych decyzji. Niemal nigdy postronnym, a rządzącym na miarę środków przymusu, jakimi gotowi byli się posłużyć. Pierwsze manifestacje tej potrzeby wystąpiły u schyłku XIX w.[1] To sędzia Thomas M. Cooley z Michigan sformułował w 1879 r. „prawo do bycia pozostawionym samemu sobie”, przedefiniowując miejsce jednostki w społecznościach[2].

Nowe przesłanki ochrony pojawiły się po kolejnych dziesięcioleciach, za sprawą automatyzacji przetwarzania i transferu danych[3]. Nie stało się to od razu, ale przełom był nagły, a wywołało go pojawienie się w życiu społeczeństw – choć długo jeszcze nie w użytku osobistym – seryjnie produkowanych komputerów. Postęp był koniecznością zrodzoną przez technologię, nadzieją i źródłem obaw. Już względnie wczesne informatyczne wdrożenia wywołały regulacyjną reakcję. W obliczu technicznych środków zdolnych posłużyć do inwigilacji ludzi, rejestracji i analizy ich zachowań, a także do kompilowania informacji na ich temat, niewystarczające okazywało się przyjmowane dotychczas rozumienie prywatności. Nie obejmowało bowiem typów ingerencji, które stały się możliwe w środowisku cyfrowym, a wobec tego brakowało też odpowiednich zabezpieczeń.

Obok przemian technologicznych odnotowano inne zjawiska: mnożenie się współzależnych ról, które przypadają każdemu w społecznym otoczeniu, a z drugiej strony – rozrost inwigilacyjnego aparatu państw oraz rynkowych narzędzi obserwowania konsumentów i kształtowania ich postaw[4]. Ponadto, ludzie nie tylko byli podpatrywani, ale sami pozostawiali po sobie coraz więcej tropów, np. komunikując się przy pomocy środków niedyskretnych, a często wręcz ulegając pragnieniu, by postronni widzieli ich w osobistym życiu[5]. W następstwie tych przemian określona informacja o konkretnej osobie nabyła – co właściwie było nieuniknione – podatność na przejmowanie przez innych i znajdowanie zastosowań, z których zainteresowany nie był już w stanie zdawać sobie sprawy. Stać się więc mógł bezwolnym obiektem skrytych informacyjnych operacji. 

Cele przetwarzania danych, w porównaniu z metodami tradycyjnymi, zmieniały się powoli. Od razu widoczna była natomiast odmienność sposobu zarządzania danymi w systemach elektronicznych, wynikła ze specyfiki przechowywania i wyszukiwania informacji, masowej skali zasobów, zdolności do transmisji na wielką odległość oraz szybkości operacji. Pojawił się też jeszcze jeden problem: poprawnej interpretacji danych zgromadzonych w nowych systemach i przetwarzanych maszynowo – aż poza tę granicę, gdy urządzenie nie poprzestaje na dostarczeniu informacji do podjęcia decyzji, ale samo rozstrzyga o sprawach ludzi. Nie był to jeszcze dylemat autonomicznej sztucznej inteligencji – chociaż lęk przed nią od dawna towarzyszy ludziom – lecz całkiem realna obawa przed maszynową procedurą selekcyjną, wykonywaną według anonimowo zadanej instrukcji.

Z perspektywy późniejszego rozwoju informacyjnych technologii te zmiany, szerzej dostrzeżone pod koniec lat sześćdziesiątych XX w., mogły wydawać się co najwyżej zapowiedzią  dylematów cywilizacji cyfrowej. Z drugiej strony, już wtedy, ludzie, za punkt odniesienia mający niecyfrową przeszłość, realnie odczuwali oszałamiające zwielokrotnienie informacyjnego potencjału. Z powodu nagle objawionej technologicznej sprawności swe osobiste sekrety ujrzeli wystawione na widok publiczny, a  najwrażliwsze dane – znacznie bardziej narażone na nadużycia. Sama zresztą ekspansywność elektronicznego przetwarzania informacji budziła społeczną trwogę. Podnoszono więc, że różne publiczne agendy będą zdolne wymieniać między sobą i zestawiać dane dotyczące określonej osoby, tworząc szczegółowe profile obywateli. Ewentualności profilowania nie uważano z początku za bezpośrednio prawdopodobną, ale nie zapobiegło to upowszechnionemu przeżywaniu zagrożenia[6].

Nie ma zgody, gdzie tkwią kamienie milowe tej drogi, i w różnych punktach wyznaczać można jej początek. Jeden z nich bywa umieszczany aż w 1964 r., gdy Vance Packard opublikował „The Naked Society” – studium technologicznej inwazji na prywatność jednostek, jeszcze skądinąd nieprzewidujące nadchodzącej cyfrowej opresji[7]. 

Informatyczna infrastruktura na przełomie lat sześćdziesiątych i siedemdziesiątych XX w., gdy rozpaliły się debaty nad ochroną informacji, usprawniała operowanie danymi, ale nie była jeszcze w stanie spowodować, by świat funkcjonował zasadniczo inaczej. Miała walor ulepszeń w zarządzaniu informacją – od dawna przecież i na wielką skalę praktykowanym w życiu społeczeństw i państw. Przez dziesięciolecia doskonalone były w tej dziedzinie procesy zautomatyzowane, wspierane przez mechaniczne technologie. Choć ludzie uważali, że pionierska faza elektronicznej informatyzacji jest za nimi, to w istocie urządzenia komputerowe – znane, ale wciąż nieliczne i umiarkowanie wydajne – tkwiły u początków kolonizacji rozwiniętych krajów. Niemniej jednak, już wtedy wywołały alert.

Kiedy pojawiły się pierwsze pomysły chronienia danych osobowych na skalę Wspólnot europejskich, od kilkudziesięciu już lat w biegu były dzieje komputeryzacji, ograniczanej przez stopień integracji układów scalonych, lecz mimo to w niesłychanym tempie pomnażającej moce obliczeniowe. Potencjał nowych technologii był publicznie unaoczniany, nawet jeśli pewne postępy, obejmujące m.in. zastosowania militarne lub wywiadowcze, pozostawały w cieniu.

Koncepcje ochrony danych osobowych z początku ignorowały dotychczasowe zasoby informacyjne – nacechowane powolnością operacji, trudno przeszukiwalne, mozolnie wiążące różne wiadomości ze sobą, praktycznie niepoddające się masowemu i szybkiemu przesyłowi, na każdym kroku uzależnione od ludzkich czynności. Na pozór zbyt niefunkcjonalne, by ich się bać.

Groźne wydało się natomiast to, co nowe. Odnotowano wprawdzie zapewnienia wytwórców komputerów oraz pierwszych zarządców danych, jakoby nowe urządzenia pod względem bezpieczeństwa górowały nad tradycyjnymi rejestrami – ale przyjęto je bez wiary[8]. Pierwsze projekty ochronnych unormowań  skupiały się więc całkowicie na technologiach informatycznych[9]. Nie obyło się jednak w tej mierze bez sporów ani wątpliwości. Jeżeli za kryterium przyjąć sprawność przetwarzania, a w konsekwencji – łatwość identyfikacji jednostek, to zaawansowane rozwiązania niecyfrowe nie były przecież pozbawione ryzyka. Zaabsorbowani nagle objawioną efektywnością komputerów, która wydała się nadludzka, a pod pewnymi względami taką rzeczywiście była, pionierzy regulowania informacyjnych operacji na ogół tracili z oczu wcześniejsze, potencjalnie groźne postępy w zarządzaniu informacją. Funkcjonowały tymczasem zmechanizowane kartoteki, będące wielkimi zbiorami danych, i używano wyrafinowanych środków kancelaryjnych, które spełniały kryteria krytycznie łatwego dostępu i operacyjnej skuteczności.

Wdrożenie narzędzi informatycznych stanowiło wyrazistą zmianę jakościową i wywołało zrozumiałą, na nich skoncentrowaną reakcję. Pole widzenia dość szybko uległo jednak retrospektywnemu poszerzeniu. Gdy podważeniu uległo inicjalne ujęcie technologiczne, na jego miejsce pojawił się pogląd, jakoby środki ochrony powinny być stosowane nie tylko ze względu na sposób przetwarzania danych osobowych, ale także wtedy, gdy ich charakter, albo okoliczności ich używania spowodowałyby zagrożenie „dla prywatności i swobód jednostki”[10]. Było to podejście funkcjonalne, któremu trudno odmówić racjonalności. Charakterystyczne, że po wstępnym epizodzie wyłączności „elektronicznych banków danych” w kolejnych regulacjach posługiwano się uogólnionym pojęciem zautomatyzowanego przetwarzania, na nim zresztą nie poprzestając[11]. W praktyce automatyczne operacje dokonywały się niemal wyłącznie w świecie cyfrowym, lecz dla ich opisania konsekwentnie używano określenia znaczeniowo pojemniejszego. Mechaniczna infrastruktura automatyzacji należała już do historii (nawet jeśli np. służby kryptograficzne państw trzymałyby w pogotowiu niecyfrową rezerwę) – niemniej jednak konsekwentnie podtrzymywano terminologię, która znajduje odniesienia do rzeczywistości wirtualnej, ale może przywodzić też na myśl wyrafinowane konstrukcje industrialnego zmierzchu.

Wszelkie dane osobowe mogły być niebezpieczne dla jednostek, ale nie one same stanowiły źródło ryzyka, a sposoby ich przetwarzania, zestawione z etycznym deficytem. W skupieniu uwagi na fenomenie automatyzacji przejawiało się dojrzewanie rozumienia sprawności i rosnącej dostępności maszynowego przetwarzania danych jako czynników zagrożenia wolności i praw jednostek. Tych jednostek, których cechy były odwzorowywane i zestawiane już we wczesnych prototypach cyfrowej rzeczywistości. Banalizacja nadefektywnych narzędzi gromadzenia i korzystania z danych, imiennie identyfikujących ludzi, coraz wyraźniej sprowadzała grozę anonimowego i niejawnego zarządzania jednostkami, manipulowania, wręcz posługiwania się nimi, kontrolowania ich zachowań, zwłaszcza dla administracyjnej wygody lub dla politycznego wpływu, lub z motywów marketingowych.

Świat, nadal wypełniany przez papierowe kartoteki i książkowe rejestry, sposobił się do cywilizacji cyfrowej, nie wyłączając pesymistycznych wizji jej dehumanizacji. Od dawna ją sobie wyobrażał. Choć wiele futurystycznych wizji było literackiego pochodzenia, technologiczne utopie epoki industrialnej nie bez słusznej przyczyny aspirowały do racjonalistycznej prognozy. Z dużą trafnością antycypowały potęgę przyszłych systemów teleinformatycznych oraz globalną skalę ich oddziaływań. Postawy ludzi wobec komputerów bazowały tak na wiedzy, jak i na przekonaniach, a w tym – uprzedzeniach. Cyfrowa przyszłość, szeroko komentowana, pozostawała nieznana i groźna, sięgając aż po apokaliptyczne wyobrażenia poczłowieczej cywilizacji. Lęk wyprzedził realia epoki i żywił się kulturowymi stereotypami, które skądinąd – w odróżnieniu od wielu innych – miały z czasem stawać się rzeczywistością. Społeczne niepokoje nie brały się z wielości realnych nadużyć związanych z elektronicznym przetwarzaniem danych, ale z tego, że w powszechnym odczuciu prawdopodobne było ich zwielokrotnienie[12]. Także z poczucia niepewności – nierozwiewanego przez milczące rządy – jakim to technologicznym oddziaływaniom jednostki są poddawane.

Poza tym, komputerowe techniki wykazywały nieznaną wcześniej, poruszającą właściwość. Elektroniczne urządzenia uruchamiane były przez ludzi i dostarczały im wyników, ale, co do zasady, działały samoczynnie, według wprowadzonych algorytmów. Dotarłszy do krytycznego stopnia komplikacji, osiągnęły i przekroczyły – według człowieczych miar – granicę obliczalnego działania. Nie sterowały już nimi – jak niegdyś w żakardowych maszynach – perforowane karty, zapewniające przewidywalny, jednoznacznie zdeterminowany bieg mechanizmów. Komputery i systemy względnie wcześnie zaczęły wymykać się swoim twórcom[13]. Początkowo chodziło co najwyżej o efekt psychologiczny, ale z czasem rosnąca złożoność operacji wprowadziła działanie maszyn w sferę probabilistyki. Także dysfunkcje stały się mniej rozpoznawalne i ludzie zaczęli odkrywać, że zdarza im się nieświadomie działać na podstawie wadliwie lub nieprzewidywalnie przetworzonych danych albo osobiście ponosić konsekwencje zerojedynkowych wykolejeń. Wyzbyli się już w większości modernistycznej euforii, ale nie zostali przygotowani na ograniczoną prognozowalność działania informatycznej infrastruktury.

Odruchem mentalnie zakorzenionym była antropomorfizacja maszyn, a także hipotetycznych form cyfrowej umysłowości. Kultura bawiła się wizjami aberracji własnoręcznie wykreowanej sztucznej inteligencji, a także motywem jej epistemicznej niedostępności. Wszystko to przez dziesięciolecia nie wykraczało poza grę wyobraźni, aż wreszcie ludzkość z konsternacją dostrzegła, że o własnych siłach i będąc u siebie wyszła poza mapę. Bezlik zwyczajnych operacji, ich statystyczna zawodność oraz bezosobowa, postmechanistyczna logika to czynniki ryzyka zidentyfikowane przed laty, ale niezmiennie słabo rozpoznawalne.

Biorąc pod uwagę, jak często myślenie o przetwarzaniu danych osobowych ociera się o kulturowe archetypy buntu maszyn, wrogiej sztucznej inteligencji, może wydać się uderzająco przenikliwe, że europejskie regulacje od początku i konsekwentnie koncentrowały się nie na moderowaniu maszyn, ale na pilnowaniu ludzi, w których ręce trafiło instrumentarium nieogarnionej władzy i wpływu.

Pewne wiadomości o jednostkach długo niemniej pozostawały poza zakresem ochrony – albo ze względu na ich treść, albo na technologię zarządzania nimi. Z początku stosunkowo wiele spośród nich uważano za powszechnie dostępne. Nawet gdy zaabsorbowanie procedurami cyfrowymi przetrwało czas naiwności, wciąż utrzymywał się pogląd, że byłoby niecelowe chronienie danych osobowych, „które w oczywisty sposób nie stwarzają żadnego zagrożenia dla prywatności i swobód jednostki”[14]. Mowa o wiadomościach uznanych za neutralne, których obieg jest obojętny dla ludzkich interesów, wolności i praw. Kilka z nich zostało zresztą przykładowo wymienione: nazwiska, daty urodzenia, uzyskane dyplomy[15]. Bieg czasu nie miał na nie wpływu ani nie powodował jakoby ryzyka dla ludzkich interesów. Cytowane sformułowanie było symptomatyczne dla ówczesnego poszukiwania granic ochrony danych osobowych. Była ona bowiem i jest selektywna, choć na przestrzeni lat nie raz przesuwano linię, która oddziela istotne od błahego.

Początkowo wytyczane obszary europejskich uregulowań okazały się zbyt ciasne. Dane, które nie znajdowały się w informatycznych prasystemach, a następnie w zautomatyzowanych zbiorach, i które nie były automatycznie przetwarzane ani nawet zebrane w celu takiego przetwarzania, pozostały poza pierwszymi projektami – bez względu na ich funkcjonalność i treść. Następny krok doprowadził wszelako do pytania, dlaczego właściwie pewne sposoby postępowania z informacją miałyby sprowadzać większe ryzyko niż inne. W rezultacie, ze zdwojoną uwagą powrócono do spostrzeżenia, że groźne są takie techniki organizacji danych, które zapewniają efektywność dostępu do nich w celu identyfikacji jednostek. Nie tylko cyfrowe.

Na pierwszy plan, zajmowany niedawno na wyłączność przez technologiczne fascynacje, z czasem wysunął się sam aspekt wyszukiwawczej i skojarzeniowej sprawności, która – choć pożądana i ogólnie pomyślna – mogła wyjmować obywatelom z rąk kontrolę nad przetwarzaniem danych, które do nich się odnosiły. Spektakularność przewrotu cyfrowego bez wątpienia otworzyła oczy na informacyjne niebezpieczeństwa, a od tej chwili odnajdywano je również w innych, dawniejszych, mniej zaawansowanych sposobach przetwarzania danych.

Ochronne regulacje objęły więc po kolejnych latach dane osobowe, które podlegały, w całości albo w części, przetwarzaniu tak zautomatyzowanemu, jak i innemu, – ale temu drugiemu tylko wtedy, jeśli były zorganizowane „według określonych kryteriów, które odnosiły się do osób fizycznych, w celu zapewnienia łatwego dostępu do danych”[16]. Ta właściwość czyniła z dowolnej garści danych potencjalne paliwo skrytej inwigilacji, nieuprawnionego wpływu albo tylko ingerencji w prywatność jednostki. Z zastrzeżeniem tak sformułowanych wyróżników, wystarczających i kompletnych, objęto ochroną rozmaicie zorganizowane dane, byleby identyfikowały określone osoby albo tylko ich identyfikację w jakikolwiek realny sposób umożliwiały.

Po trwającym ćwierćwiecze mozolnym przypominaniu sobie o niebezpieczeństwach dawnego świata, prace nad ochronnymi regulacjami, u swych początków bez reszty zapatrzone w „elektroniczne banki danych”, definitywnie dotarły do zlekceważonych kiedyś zgoła niecyfrowych zapisów informacji. Nawet do niektórych spośród sporządzonych atramentem na papierze, bo i w nich ujawnił się mroczny potencjał. Porzucona zarazem została niegdysiejsza myśl o neutralnych danych osobowych, gdyż wszystkie mogły posłużyć do umniejszenia wolności i praw jednostek, jeśli zostałyby odpowiednio usystematyzowane i połączone.

Poza ochronną ingerencją pozostawiono informacyjny bezład albo zasoby danych, które nie były ustrukturyzowane według określonych kryteriów, z ujemnym skutkiem dla sprawności wyszukiwania konkretnych spersonalizowanych wiadomości. Paradoksalnie, wschodząca cywilizacji cyfrowa sprowokowała dostrzeżenie zagrożeń oraz ich nawarstwiające się redefinicje, a w następstwie pojawiły się pomysły uregulowań wyzwolone od początkowego zahipnotyzowania elektronicznymi narzędziami.

[1] Jagielski, Prawo do ochrony, s. 9.
[2] Thomas M. Cooley, A Treatise on the Law of Torts or the Wrongs Which Arise Independent of Contract, Chicago 1879, s. 29; por. Samuel Warren, Louis Brandeis, The Right to Privacy, Harvard Law Review Vol. IV No5 (1890), s. 195 (http://links.jstor.org/sici?sici=0017-811X%2818901215%294%3A5%3C193%3ATRTP%3E2.0.CO%3B2-C [odczyt 2018 09 26]) – autorom tym przypisuje się spopularyzowanie zwrotu “the right to be let alone”; Dorothy J. Glancy, The Invention of the Right to Privacy (w:)  Arizona Law Review, 1 (21)/ 1979, s. 1-39.
[3] Litwiński, Rozporządzenie UE (Wprowadzenie, I [1] s. 3-4, III [12] s. 22), Jagielski, Prawo do ochrony,  s. 9-10.
[4] Rezolucja (74) 29 w sprawie ochrony prywatności jednostek w odniesieniu do elektronicznych banków danych w sektorze publicznym, przyjęta przez Komitet Ministrów [Rady Europy] 20 września 1974 r., Explanatory report, pkt 1 i 4 – https://rm.coe.int/16804d1c51 [odczyt 25 05 2019].
[5] Por. mot. 6 R.2016/679.
[6] Rez. (74) 29 Explanatory report, pkt 4.
[7] Vance Packard, The Naked Society, New York 1964; por. Robert E. Burns, Packard: The Naked Society, DePaul Law Review, vol. 14/1964 (https://via.library.depaul.edu/cgi/viewcontent.cgi?referer=https://www.google.com/&httpsredir=1&article=3311&context=law-review, s. 225-227 [odczyt 2018 09 21]), Joseph W. Bishop Jr., Book Review: The Naked Society (1964), Faculty Scholarship Series (http://digitalcommons.law.yale.edu/fss_papers/2844 s. 193-199 [odczyt: 2018 09 21]).
[8] Rez. (74) 29, Explanatory report, pkt 27.
[9] Rezolucja (73) 22 w sprawie ochrony prywatności jednostek w odniesieniu do elektronicznych banków danych w sektorze prywatnym – przyjęta przez Komitet Ministrów [Rady Europy] 26 września 1973 r. – https://rm.coe.int/CoERMPublicCommonSearchServices/DisplayDCTMContent?documentId=0900001680502830 [odczyt 2017 05 24]; Rez. (74) 29.
[10] Organisation for Economic Co-operation and Development (OECD) – Recommendation of the council concerning guide-lines governing the protection of privacy and transborder flows of personal data, adopted by the Council 23 September 1980, preambuła oraz aneks, pkt 3 lit. c (https://legalinstruments.oecd.org/public/doc/114/114.en.pdf (dalej jako “1980 Guidelines”).
[11] 1980 Guidelines, aneks, pkt 2. [odczyt: 2019 05 22]; Konwencja Nr 108 Rady Europy o ochronie osób w związku z automatycznym przetwarzaniem danych osobowych, sporządzona w Strasburgu dnia 28 stycznia 1981 r., tytuł, preambuła, art. 2 lit. a, b, c, art. 3 ust. 1, 2 i 4, art. 5-7, art. 8 lit. a, b, art. 9 ust. 3, art. 12 ust. 1 i 3 lit. a, art. 13 ust. 3 lit. b, art. 14 ust. 3 lit. b; D.95/46/WE mot. 11, 15, 27, 41, art. 2 lit. b, art. 3 ust. 1, art. 4 ust. 1 lit. c, art. 12 lit. a, art. 15 ust. 1, art. 18 ust. 1 (Dz.U. z 2002 r. Nr 3, poz. 25.).
[12] Rez. (74) 29, Explanatory report, pkt 5.
[13] Por. Sakowska-Baryła (red.), Ogólne rozporządzenie: interesujący pogląd K. Wygody, że ograniczenie ludzkiej kontroli nad współczesnymi sieciami neuronowymi czyni problematycznym traktowanie ich jako automatów – lecz musi być przyjmowane, dopóki sztuczna inteligencja nie uzyska prawnego statusu osoby – komentarz do art. 2 [3] R.2016/679, s. 56.
[14] 1980 Guidelines, pkt 3 lit. b.
[15] Rez. (74) 29, Explanatory report, pkt 21.
[16] Mot. 15 D.95/46/WE.

Cele archiwalne w interesie publicznym w rozporządzeniu ogólnym o ochronie danych

1. Co pod ochroną, a co nie

Posługiwanie się informacjami, które odkrywają tożsamość żyjących ludzi, z zasady uważa się za ryzykowne, stanowiące swoistą ostateczność. Obawy, jakie wzbudza przetwarzanie danych osobowych, znalazły wyraz w wiele razy przywoływanym warunku, że może być podjęte, o ile jest niezbędne [1]. Powinno mieć miejsce jedynie wtedy, jeśli określonych i uprawnionych celów nie można „w rozsądny sposób” osiągnąć inną drogą [2]. Spersonalizowana wiedza nie jest jednak źródłem tylko zagrożeń, ale także informacyjnym bogactwem. Europejskie rozporządzenie ogólne w sprawie ochrony danych deklaruje – nawiązując do swego dwoistego tytułu – że osłania szeroko ujmowane podstawowe prawa i wolności ludzi, a wśród nich tylko w szczególności ich prawo do ochrony tych danych [3].

To znamienne, że akt ten kilkadziesiąt razy odwołuje się do kategorii rozsądku – intuicyjnie i wspólnie odczuwanej racjonalności, źródła potocznego przeświadczenia. Rozsądek uzupełnia siłę stanowionych norm. Bywają one niepewne i nie wszędzie sięgają; same nie dawałyby skutecznych gwarancji. Podobną wymowę ma w rozporządzeniu etyczny postulat rzetelności przetwarzania danych. Topos skonfrontowany z grą, na której opiera się stanowienie i stosowanie praw.

Zdolność identyfikowania określonych ludzi nie cechuje wyłącznie pełnych i spójnych informacji; definiowanie indywidualnej tożsamości bywa składane z detali, poddawanych zestawianiu ze sobą. Może obywać się bez imion, nazwisk albo identyfikacyjnych numerów, bo człowiek pozostawia za sobą inne tropy. W tym sensie rozporządzenie wyróżnia jego „fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość” [4]. W środowisku cyfrowym jego bywalców ujawniają m.in. loginy lub przydomki, ale też parametry „nieludzkie”: lokalizacja albo identyfikatory urządzeń i aplikacji.

Modele ochrony danych osobowych od czasu pierwszych ich konceptualizacji odnoszone były do osób fizycznych – żyjących ludzi, będących podmiotami praw [5]. Wolno im bronić swojej informacyjnej autonomii, działać we własnej sprawie. Wraz z zamknięciem fizycznej egzystencji człowieka gaśnie ochrona dotyczących go danych.

Osłonowe rygory znajdują zastosowanie do zautomatyzowanego przetwarzania danych osobowych – tzn. opartego na operacjach logicznych albo arytmetycznych, które w całości albo w części wykonywane są maszynowo. W praktyce, automatyzacja oparta jest niemal wyłącznie na technologiach cyfrowych, których nie należy jednak postrzegać tylko w skojarzeniu z systemami informatycznymi [6].

Te same rygory stosuje się też do przetwarzania ręcznego, gdyby dane objęte były systemem dokumentowania (filing system), który w polskiej tradycji językowej przyjęło się nazywać „zbiorem”, albo nawet gdyby tylko były przeznaczone do umieszczenia w nim [7]. Za nieodłączną cechę zbioru uważa się takie jego uporządkowanie, że zawarte w nim dane dostępne są według określonych kryteriów[8].

Co więcej, jeśli zastosowane sposoby identyfikowania ludzi nie byłyby „rozsądnie prawdopodobne” (z uwzględnieniem kosztu i czasu niezbędnych operacji, a także dostępnej technologii), wątpliwa byłaby celowość uruchamiania mechanizmów ochrony danych [9]. To nie okazjonalne wyczyny sprowadzają godne uwagi zagrożenie. Nie warto zaprzątać uwagi wyrafinowanymi arcydziełami inwigilacji w obliczu destrukcyjnej potęgi zwyczajnych a powszechnie występujących praktyk. Jest to kolejne w rozporządzeniu odwołanie do potęgi rozsądku.

Jest niepisaną prawidłowością, że wyróżnione sposoby przetwarzania w praktyce nie odnoszą się do sporadycznych operacji na wyosobnionych danych. Zarówno zautomatyzowane procedury, jak i nieautomatyczne zbiory mają – poza użytkiem osobistym – marginalne zastosowanie do informacyjnych mikrozasobów, często natomiast służą zarządzaniu informacją masową. Sposób działania wskazuje pośrednio na jego skalę.

Tym samym, ochroną danych osobowych nie rządzi logika oczywistych znamion tożsamości, ale też nie wszystkie dane i nie wszystkie sposoby ich przetwarzania podlegają rygorom tej ochrony [10]. Uwagę europejskich prawodawców zawsze przyciągały rozwiązania zapewniające skuteczność wyszukiwania informacji, które jednoznacznie wskażą na konkretne osoby [11]. Przetwarzanie danych pozbawione tej właściwości – niebezpiecznej i pożądanej – nie sprowadza krytycznego ryzyka, choćby i polegało na prześwietlaniu ludzi [12]. Naruszyć wolności i prawa można też w drodze niewydajnych wyszukiwawczych procedur, tropienia krok po kroku rozproszonych wiadomości, ale ochronny system nie został zbudowany przeciw incydentalnym, żmudnym i zawodnym sposobom działania. Rozporządzenie wprost wprawdzie nie przywołuje już kryterium wyszukiwawczej łatwości; jest bardziej kategoryczne niż regulacja je poprzedzająca –  lecz nadal selektywne [13].

Sformułowaniu pozytywnych kryteriów, które określają materialny zakres stosowania rozporządzenia, towarzyszy katalog negatywny, pełniący w istocie tę samą funkcję – wytyczania granic regulacji, z tym, że „od zewnątrz” [14]. Między przeciwstawnymi wyróżnikami utrzymują się ponadto nierozpoznane przestrzenie, wypełnione przetwarzaniem danych niezautomatyzowanym albo zachodzącym poza zbiorami i nawet bez zamiaru przetwarzania ich w zbiorach. Doktryna prawa ma z nimi dolegliwy problem.

W jej obrębie silną pozycję (daleką niemniej od wyłączności) zyskał pogląd odmienny od powyższego ujęcia, maksymalizujący ów materialny zakres. Akcentuje, że kluczową intencją rozporządzenia jest generalnie ochrona danych osobowych, a wobec tego okoliczności i cechy przetwarzania muszą być uznane za drugorzędne lub zgoła nieistotne [15]. Mimo przemilczenia w przytoczonej argumentacji drugiego z „tytułowych” motywów – swobodnego przepływu danych – jej celowościowa osnowa wydaje się niepozbawiona racji. Nie sposób byłoby jednak przychylić się do jej rozwijania w kierunku wykładni asemantycznej, która ignorowałaby wyraźnie ograniczające sformułowania przepisów rozporządzenia o zakresie jego stosowania [16]. Choć ochrona danych osobowych, bez względu na sposób ich zorganizowania, niespornie stanowi jedno z praw podstawowych, pochopny byłby wniosek, jakoby rozporządzenie miało stanowić w tej dziedzinie całościową regulację [17]. Wiele natomiast przemawia za odnoszeniem go ściśle do kluczowych zagrożeń, które godzą w informacyjną autonomię człowieka, a nie do zjawisk pomniejszych i przygodnych.

Ważny motyw tego aktu nadal stanowi nie tyle holistycznie ujmowana ochrona danych, co unifikacja jej standardów w zjednoczonej Europie – w takim zakresie oraz stopniu, w jakim ma znaczenie dla regionalnej integracji [18]. Unia Europejska genetycznie wywodzi się bowiem z projektu współpracy gospodarczej, a dopiero stosunkowo niedawno zdobyła się na własne sformułowanie katalogu praw i wolności [19]. Dbałość o funkcjonowanie wspólnego rynku, uzupełniona o wątki współpracy administracyjnej, jest w rozporządzeniu dobitnie eksponowana. W świetle powyższego, kompleksowa, a zwłaszcza docelowo rozumiana regulacja w zakresie ochrony danych osobowych nie sprawiałaby wrażenia naturalnej materii unijnego prawodawstwa.

Rozporządzenie wydane zostało wprawdzie w normatywnym porządku, w którym prawom człowieka przypisuje się szczególną ważność. Jego przepisy były też formułowane tak, by pomniejszyć ryzyko omijania rygorów ochrony. Różni się więc w wielu miejscach od uchylonej dyrektywy, jawnie naznaczonej prymatem budowania Wspólnoty. Gdy mowa jednak o konfrontacji motywu integracyjnego z motywem ochrony danych, wydaje się, że przesunięcie punktu ciężkości rozporządzenia ku temu drugiemu ma źródła formalnoprawne oraz poprawnościowe. W istocie zaś prawodawcy co najmniej na równi skupieni byli na drugiej części tytułu aktu: aspekcie swobodnego obiegu informacji na obszarze Unii Europejskiej.

Wskazanie na przewagę wykładni językowej, która nie napotyka dostatecznie mocnych celowościowych kontrargumentów, nie równa się, z drugiej strony, akceptacji dla odczytu naiwnie literalnego [20]. Wytyczanie granicy ochrony danych w reżimie rozporządzenia nie mogłoby obyć się bez badania „ryzyka naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie i wadze zagrożenia” [21]. Równoczesnego uwzględnienia wymagałby przy tym „charakter, zakres, kontekst i cele przetwarzania”. Nie wystarczy więc, nawet przy użyciu trafnych kryteriów, zdyskwalifikować dane albo sposób ich przetwarzania by móc odstąpić od stosowania ochronnych środków i procedur. Pierwsze miejsce przypada ocenie zagrożenia praw i wolności w związku z gromadzeniem i używaniem wiadomości o ludziach. Nie jest ona oderwana od wyróżnionych powyżej aspektów operatywności danych, a tym bardziej nie powinna być im przeciwstawiana. Istotne, że w braku standardowych alertów to z tej oceny wyniknąć może prognoza nieakceptowalnych następstw przetwarzania danych. Jej zaniechanie albo niestaranne bądź nierzetelne przeprowadzenie rzutowałoby na stopień odpowiedzialności administratora danych za ewentualne naruszenia [22]. Nadal niemniej z tym zastrzeżeniem, że nie każde nieuprawnione użycie spersonalizowanych wiadomości mieściłoby się w kręgu europejskiej regulacji.

Położenie akcentu na faktyczne zagrożenie praw albo wolności pozostaje w logicznym powiązaniu z inną wskazówką – że ochrona danych nie powinna być uzależniana od stosowanych technik, bo sprowadziłoby to „poważne ryzyko obchodzenia prawa” [23]. Raz jeszcze rozporządzenie odwołuje się do rozsądnego i wnikliwego osądu, komplementarnego względem schematów procedowania.

Trwanie prawnej podmiotowości osób, których dotyczą dane, zdolność tych danych do określania indywidualnej tożsamości, operacyjna sprawność łączenia informacji z określoną osobą, a także istotność ryzyka naruszenia praw i wolności – to parametry, według których uruchamiane są albo wstrzymywane osłonowe mechanizmy.

Krajowa ustawa o ochronie danych osobowych uległa zamknięciu w granicach rozporządzenia [24]. Poza obszarem unormowań – przynajmniej tych z tytułowego zakresu owych aktów – pozostało więc niezautomatyzowane przetwarzanie danych niedostępnych według określonych kryteriów, w tym danych rozproszonych [25]. Zdaje się to skutkiem zamysłu, nie zaś legislacyjnego niedopatrzenia. Nie wszystkie przypadki przetwarzania wymagają bowiem interwencji legislatyw wyrażonej w przepisach szczególnych, choć z drugiej strony rozgraniczenie z pewnością tak trzeba miarkować, by nie dopuścić do milczenia prawa. Wśród państw, które podlegają rozporządzeniu, obserwowane są rozwiązania odmienne niż w Polsce – np. brytyjski Data Protection Act (2018) normuje m.in. przetwarzanie wybranych nieustrukturalizowanych danych, nie zdając się całkowicie na wspólną regulację [26]. W dziedzinie ochrony danych osobowych reguły gwarancyjne bez limitacyjnych zastrzeżeń, właściwych europejskim unormowaniom, występują w art. 51, a pośrednio też w art. 47 Konstytucji RP [27]. Uważa się je za adresowane do organów publicznej władzy, nie zaś przeznaczone do stosowania horyzontalnego, w stosunkach między różnorakimi osobami [28]. Trudno by więc wypełnić nimi ewentualną prawną lukę. Można dopatrzyć się w nich natomiast katalogu wartości zasługujących na ochronę – na poziomie przewyższającym standardy rozporządzenia.

[1] Art. 5 ust. 1 lit. c, e, art. 6 ust. 1 lit. b-f i ust. 3, art. 7 ust. 4, art. 9 ust. 2 lit. b, c, f-j, art. 17 ust. 1 lit. a i ust. 3, art. 20 ust. 3, art. 21 ust. 6, art. 35 ust. 7 lit. b, art. 49 ust. 1 lit, b-f, a także motyw 31, 39, 44, 45, 46, 47, 49, 50, 52, 53, 54, 65, 68, 69, 71, 111, 112, 115, 156, 162 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych), Dz.Urz. UE z dnia 4 maja 2016 r. L 119/1 (dalej jako „R.2016/679”).
[2] Tamże, mot. 39.
[3] Tamże, art. 1 ust. 2.
[4] Tamże, mot. 30.
[5] Tamże, art. 1 ust. 1 i 2; mot. 27 i 158.
[6] Por. Paweł Litwiński (red.), Paweł Barta, Maciej Kawecki,Rozporządzenie UE w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i swobodnym przepływem takich danych. Komentarz, Warszawa 2018 (komentarz do art. 2/[5], s. 140); Marlena Sakowska-Baryła (red.), Ogólne rozporządzenie o ochronie danych osobowych. Komentarz, Warszawa 2018 (K. Wygoda, komentarz do art. 2 [3], s. 56).
[7] Art. 2 ust. 1, mot. 15 R.2016/679.
[8] Tamże, art. 4 pkt 6. Wyraz „zbiór” nie oddaje sensu zwrotu „filing system”, ale utrwalił się w terminologii, a ponadto kluczowe znaczenie ma w tym miejscu warunek „określonych kryteriów”.
[9] Tamże, mot. 26.
[10] Tamże, mot. 15.
[11] Ujęcie R.2016/679 przewyższa rygoryzmem dyrektywę 95/46/WEParlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz. Urz. WE z 23 listopada 1995 r., L 281/31), mot. 15  (dalej jako „D.95/46/WE”) – i bywa np. uważane za obejmujące chronologicznie uporządkowane akta, które zawierają dane osobowe. Tak w: Overview of the General Data Protection Regulation (GDPR). ICO – Information Commissioners Office (2017) – https://ico.org.uk/media/for-organisations/data-protection-reform/overview-of-the-gdpr-1-13.pdf [odczyt: 2019 05 01]. Por. mot. 27 dyrektywy 95/46/WE. Tak radykalne rozumienie dostępności danych według określonych kryteriów można uważać jednak – niezależnie od renomy ICO – za kontrowersyjne, reprezentatywne dla odrębności brytyjskiej doktryny prawa.
[12] Art. 4 pkt 4, art. 24, art. 35 ust. 3 lit. a; mot. 24, 71 R.2016/679.
[13] M. Jagielski, Prawo do ochrony danych osobowych. Standardy europejskie, Warszawa 2010, s. 44-47.
[14] Art. 2 ust. 2 R.2016/679. Skatalogowane w tym miejscu wyłączenia pozostają bez znaczenia w sporze o materialny zakres stosowania rozporządzenia. Mają niebudzącą wątpliwości treść, obejmując przetwarzanie do działalności nieobjętej prawem Unii, w ramach działań państw członkowskich w sprawach wspólnej polityki zagranicznej oraz bezpieczeństwa, zapobiegania przestępczości, postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w tym zapobiegania zagrożeniom bezpieczeństwa publicznego, a także przetwarzania podejmowanego przez osoby fizyczne do celów o charakterze domowym lub osobistym.
[15] Por. Litwiński, Rozporządzenie UE. Komentarz do art. 2 [4-10] s. 139-143, który zdaje się zresztą krążyć wokół głównego zagadnienia. Zrąb argumentacji na rzecz maksymalistycznego stosowania rozporządzenia ukształtował się na tle zadawnionych sporów, czy podlegają ochronie dane, które dopiero mogą znaleźć się w zbiorze, nawet gdyby do tego nie doszło. Z pozytywną odpowiedzią na tak formułowane pytanie wypada się zgodzić, z tym jednak, że nie rozstrzyga ona (niezależnie od art. 2 ust. 2), kiedy europejskiego aktu się nie stosuje.
[16] Koncepcję integralnej ochrony danych osobowych prezentuje Mariusz Krzysztofek, Ochrona danych osobowych w Unii Europejskiej po reformie. Komentarz do rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679, Warszawa 2016 (komentarz do art. 2 [3], s. 31). Katarzyna Kloc i Maciej Gawroński podkreślają natomiast trudności ze stosowaniem rozporządzenia do danych nieustrukturyzowanych, odnosząc je nawet do elektronicznego przetwarzania (w:) Ochrona danych osobowych. Przewodnik po ustawie i RODO z wzorami, red. Maciej Gawroński, Warszawa 2018, s. 58. Autorzy opowiadają się za stosowaniem do tych danych art. 11 R.2016/679, podkreślając jego znaczenie w systemie ochrony. „Nieustrukturyzowane” różni się oczywiście od niezautomatyzowanych lub przetwarzanych ręcznie poza zbiorem – mowa niemniej o danych częściowo wymykających się z przedmiotowego zakresu rozporządzenia.
[17] Sakowska-Baryła (red.) , Ogólne rozporządzenie, komentarz do art. 2 [3], s. 56: K. Wygoda potwierdził, że art. 2 ust. 1 R.2016/679 współdefiniuje ograniczenia zastosowania tego aktu. Agnieszka Grzelak zwróciła natomiast uwagę na niekompleksowość R.2016/679 ze względu na pozostawienie szerokiego zakresu unormowań prawu państw członkowskich – Główne cele ogólnego rozporządzenia o ochronie danych (w:) Ogólne rozporządzenie o ochronie danych osobowych. Wybrane zagadnienia, pod. red. Macieja Kaweckiego i Tomasza Osieja, Warszawa 2017, s. 21.
[18] Na integracyjną celowość R.2016/679 wskazuje P. Litwiński, Rozporządzenie UE, komentarz do art. 1 [4], s. 134. Odmiennie natomiast A. Grzelak, Główne cele, s. 19. Autorka podkreśla, że R.2016/679 oparty został na art. 16 – przeciwstawionym „prorynkowemu” artykułowi 14 – Traktatu o funkcjonowaniu Unii Europejskiej (Dz. Urz. UE z 2016 r. C 202), co świadczy, w jej ocenie, o nadrzędności prawa podstawowego do ochrony danych nad motywem regionalnej integracji.
[19] Karta Praw Podstawowych Unii Europejskiej, Dz. Urz. UE z 26.10.2012 r., C 326/391.
[20] O pierwszeństwie wykładni językowej m.in. Naczelny Sąd Administracyjny w wyroku z 20 października 2016 r. w sprawie II FSK 1582/16.
[21] Art. 24 ust. 1 R.2016/679. Por. Anna Dmochowska, Marcin Zadrożny, Unijna reforma ochrony danych osobowych. Analiza zmian, s. 78-86, Warszawa 2016; M. Gawroński zwraca uwag, że „ryzyko” to kolejny wyraz powtórzony w rozporządzeniu kilkadziesiąt razy,  Ochrona danych, s. 86-87.
[22] Termin „administrator” (danych) stosowany w polskiej wersji rozporządzenia 2016/679, podobnie jak w akcie je poprzedzającym, wydaje się znaczeniowo niewyrazisty. Pod tym względem poszczególne wersje językowe nie są spójne, eksponując różne aspekty opisywanej funkcji: m.in. władztwo zarządcze albo odpowiedzialność. Termin ten, oznaczający podmiot, który zarządza danymi osobowymi, uległ już utrwaleniu w języku prawa – nie sposób więc zastępować go bardziej adekwatnym określeniem. Por. art. 4 pkt 7 R.2016/679.
[23] Mot. 15 R.2016/679.
[24] Art. 1 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2018 r., poz. 1000).
[25] Por. Sakowska-Baryła, Ogólne rozporządzenie, komentarz do art. 2 [3], s. 55: K. Wygoda potwierdził, że poza sposobami przetwarzania (przesłankami) określonymi w art. 2 ust. 1 R.2016/679 ani regulacja krajowa, ani europejska nie znajdą zastosowania.
[26] http://www.legislation.gov.uk./ukpga/2018/12/pdfs/ukpga_20180012_en.pdf [odczyt 2019 05 09].
[27] Ustawa z dnia 2 kwietnia 1997 r. Konstytucja Rzeczypospolitej Polskiej, Dz.U. Nr 78, poz. 483, z 2001 r. Nr 28, poz. 319, z 2006 r. Nr 200, poz. 1471 oraz z 2009 r. Nr 114, poz. 946. Por. RODO. Przewodnik dla adwokatów i aplikantów adwokackich, pod red. Andrzeja Zwary, Arwida Mednisa i Macieja Pisza, Warszawa 2018, s. 1-11.
[28] Mikołaj Wild, komentarz do art. 51 Konstytucji RP [III.15 (1)] s. 1226 (w:) Marek Safjan, Krzysztof Bosek, Konstytucja RP. Tom I. Komentarz do art. 1-86, Warszawa 2016.